1

我正在审查他的 php 网站,这是对朋友的帮助的一部分。我想测试他的会话令牌生成功能,但我无权访问源代码。出于这个原因,我获得了许多令牌,试图找到它们之间的相关性并使用 Burp 分析它们。我尚未得出结论的一件事是令牌是否已加密,当然,如果它们已加密,我正在寻找一种完全不同的方法。我为每个请求获得的令牌如下:

  • __utma 数值
  • __utm 数值
  • __utmc 数值
  • __utmz 数值

最后一个名为 32b7e298af200c063ff686fa5dc74c3f 的值为 44822a2f5e3db0931da0c444fa50a96a

我不关心前 3 个令牌,因为它们是默认令牌,因为它们用于 Google 分析目的。对于最后一个令牌,是否可以对其进行解码,您能否识别所使用的编码方案?

我不介意在此处发布实际令牌,因为我一开始并未注册为用户,并且该站点仍处于开发阶段以进行错误检测。

先感谢您

4

1 回答 1

2

PHP 会话 ID 是随机散列。根本没有什么可以解密的。

实际会话数据存储在服务器端 - 会话 ID/令牌仅标识会话,因此 PHP 知道要检索哪些会话数据。

于 2013-07-09T09:13:33.860 回答